gard Опубликовано 10 июня, 2021 · Жалоба Всем доброго времени суток! Есть проблема, которую никак не могу придумать как решить. Подскажите добрые люди. Есть плоская сеть, домен AD. В сети есть влан с определенными устройствами. Также есть микротик, который работает просто как хаб, но bridge принимает нужный влан как tagged и микротик в этот влан выглядывает своим vlan-interface. Задача состоит в том, чтобы определенные компьютеры, подключенные в этот микротик могли бы иметь доступ в этот влан, при этом оставаясь в своей сети. Втыкать эти компьютеры в untagged-порт не вариант. Натить их микротиком тоже не вариант. Нужно сделать как-то "прозрачно через бридж". Пробовал включать Ip-Firewall для бриджа и маскарадить трафик в этот влан в зависимости от dst address list, трафик вроде деже маскарадится, но ответного трафика не вижу. Что можно придумать? Кто-то сталкивался с такой задачей? И еще.. вланы можно стерминировать на default gw, но.. это не вариант по определенным причинам. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
jffulcrum Опубликовано 10 июня, 2021 · Жалоба Через switch rules можно заменять VLAN тэг, прокидывая таким способом из одного VLAN в другой без маршрутизации Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 10 июня, 2021 · Жалоба Интересная мысль, спасибо. Посмотрел меню свитча, у меня Atheros 8227, у него нет vlan translation. Но как вариант буду иметь в виду, в винде же вроде можно сетевой карте второй адрес задать, как алиас в линуксах... Сижу, пробую натить на железку в нужный влан трафик от абонента.. что-то не выходит каменный цветок. Единственное, что пока получилось - редирект на сам микротик по адресу vlan-интерфейса. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
jffulcrum Опубликовано 10 июня, 2021 · Жалоба Через правило forward на MT и кастомный маршрут на клиентах 2 часа назад, gard сказал: Посмотрел меню свитча, у меня Atheros 8227, у него нет vlan translation Ну будет CPU пыхтеть, если PPS небольшой и там не древности на MIPS - незаметно. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 10 июня, 2021 · Жалоба Напишу в саппорт микротика, может быть скажут как красиво сделать. Пытался до вечера - что-то не выходит рабочего результата ) Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
dmp.user Опубликовано 10 июня, 2021 · Жалоба Любопытно. Что же мешает использовать микротик в качестве маршрутизатора между AD сетью и отдельным вланом? Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 11 июня, 2021 · Жалоба Да, это как бы очевидное решение. Но тогда компьютеры за микротиком выпадают из домена. Майкрософт официально говорит, что в домене не должно быть ната. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
dmp.user Опубликовано 11 июня, 2021 · Жалоба Видимо какая-то неясность с исходными условиями. Если две сети с разными адресами подключены к микротику, достаточно обычной маршрутизации - без ната. Каждая группа устройств останется в своем адресном пространстве, а шлюзом для доступа к соседу будет микротик. Либо есть еще какие-то, не названные условия, ну или микротик слишком малопроизводительный для маршрутизации предполагаемых потоков проходящего трафика. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
lugoblin Опубликовано 12 июня, 2021 · Жалоба Меняйте топологию вашей сети, так чтобы маршрутизацией между VLAN-ами занималось то-же устройство, которое эти VLAN-ы используют как шлюз. Mikrotik в такой роли выглядел бы достаточно органично. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 15 июня, 2021 · Жалоба В 11.06.2021 в 23:04, dmp.user сказал: Видимо какая-то неясность с исходными условиями. Если две сети с разными адресами подключены к микротику, достаточно обычной маршрутизации - без ната. Каждая группа устройств останется в своем адресном пространстве, а шлюзом для доступа к соседу будет микротик. Либо есть еще какие-то, не названные условия, ну или микротик слишком малопроизводительный для маршрутизации предполагаемых потоков проходящего трафика. Вот тут я что-то немного подзавис. Скажем, микротик работает в режиме бриджа, имеет адрес в основной сети и в сети vlan. Физически клиент включен в этот микротик и имеет свой, отличный от адреса микротика default gw адрес. Получается, чтобы попасть в любую неизвестную сеть (vlan) клиент будет обращаться на этот самый default gw адрес, минуя микротик. Вот как-то так... А шлюз на клиенте я поменять не могу. Выворачивался в пятницу с использованием dhcp-relay (чтобы как раз для клиента микротик стал дефолтным шлюзом), оно даже заработало на какое-то время. Но сегодня что-то сломалось. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
DeLL Опубликовано 15 июня, 2021 · Жалоба По всей видимости Вы не совсем понимаете матчасть. Попасть в другую подсеть можно ТОЛЬКО через маршрутизатор, который будет def gw как в текущей подсети, ОТКУДА Вы собираетесь идти, так и в сети назначения. Так работает классическая маршрутизация без бубнов и костылей. Ваша задача решается несколькими способами: 1. Попасть в другую подсеть через маршрутизатор (def gw). Никакого НАТа нигде не требуется. Просто обе подсети должны быть на этом маршрутизаторе в качестве def gw. Да, для этого придется перестраивать топологию 2. Обмануть судьбу и попасть в другую подсеть не меняя топологию через существующий микрот Второй вариант реализуется с помощью прописывания вручную на требуемых ПК маршрута в требуемую подсеть с указанием IP микрота в качестве GW для этой подсети. На самом микроте нужно всего 1 правило маскарада или src-nat с параметрами out-interface=_ВАШ_VLAN_ src-address=подсеть_назначения/маска Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 15 июня, 2021 · Жалоба Да, я про то же собственно и говорю. Может быть и приду к тому, что роуты пропишу на требуемых компьютерах, тоже в принципе то вариант, и никакого колхоза. Спасибо! Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
EugeneTV Опубликовано 30 июля, 2021 · Жалоба В 15.06.2021 в 10:15, gard сказал: ... Физически клиент включен в этот микротик и имеет свой, отличный от адреса микротика default gw адрес. Получается, чтобы попасть в любую неизвестную сеть (vlan) клиент будет обращаться на этот самый default gw адрес, минуя микротик. Вот как-то так... А шлюз на клиенте я поменять не могу. .... А на шлюзе можете указать микротик в статическом маршруте в vlan? НАТ вам вообще для чего? вам обычной маршрутизации за глаза Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
gard Опубликовано 30 июля, 2021 (изменено) · Жалоба Да, я к тому и пришел по итогу, с dhcp relay как вариант в будущем, но пока все рулится на шлюзе. Я конечно сложно все выше написал, но задача у меня банальная. Есть сеть, в ней есть видео-наблюдение, которое переезжает в отдельный vlan. А "смотрители" видео туда не переезжают. Вот я и задумался как это сделать. Все вроде просто, кроме одного "но".. видео-трафик идет потоком больше 600Мбит/с и это далеко не потолок. Понятно, что смотреть все камеры одновременно никто не будет, но все-таки трафика может быть многовато. Ну и как бы гнать через шлюз видео с железки, которая стоит в двух метрах от тебя.. ... Ну и есть конечно совсем уж простой вариант - в железку с которой смотрят видео поставить вторую сетевую карту, чтобы она присутствовала в обеих сетях. Изменено 30 июля, 2021 пользователем gard Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...